IPA 情報セキュリティリスクアセスメント・リスク対応 — 頻出論点と過去問

頻出論点

1. この分野は何か

組織が守るべき情報資産について、どのような原因や弱点から損害が生じ得るかを洗い出し、その大きさを測って対処法を決める一連のプロセスを扱います。日常の言葉としては似た意味で使われやすい脅威と脆弱性、あるいはリスク分析とリスク評価といった用語が、規格の上では別々の役割として定義されています。

2. 実際の出題のされ方

リスク対応の4分類に具体的な対策を当てはめる問題と、リスクアセスメントに含まれる作業やその順序を問う問題がよく出ます。この2つの形の問題はITパスポートにあり、同じ区分には、脅威や脆弱性の意味を選ぶ問題と、ISMSの活動内容を選ぶ問題もあります。

定義文の照合は、応用情報技術者の午前とシステム監査技術者の午前IIで繰り返し出題されています。あるプロセスの定義文を別のプロセスのものと入れ替えた選択肢や、リスク特定で考えておく事項、リスクレベルの定義を選ぶ問いがあります。内部監査で見つかった状況から、監査報告書に書く指摘事項を選ぶ問題もあります。

JIS Q 27000の用語の記述から適切なものを選ぶ問題は、情報処理安全確保支援士とITサービスマネージャの午前IIにも出ています。

確率の計算は、システムアーキテクトの午前IIの出題にあります。複数の事象の発生確率と対策の防止確率から、情報漏えいの年間発生確率をいちばん下げる対策を選ぶ問題です。プロジェクトマネージャの午前IIには、日常の業務の中で損失が生じるリスクの名前を選ぶ問題があります。

3. 学習のポイント

リスクアセスメントは3つの段階からなり、その後にリスク対応が続きます。

• リスク特定: どんなリスクがあるかを洗い出して一覧にする段階です。
• リスク分析: 洗い出したリスクごとに、起こりやすさと起きたときの影響から大きさを見積もる段階です。
• リスク評価: 見積もった大きさを前もって決めた基準に当てて、手を打つかどうかと、どれから手を打つかを決める段階です。

この3つがリスクアセスメントで、評価の結果を受けて実際に手を打つのがリスク対応です。なお、JIS Q 27001に基づく運用では、どの程度のリスクなら許容できるかという受容基準を、アセスメントを実施する前に確立しておく必要があります。評価の結果を見てから基準を決めると、結果に合わせて基準を恣意的に変えられてしまうためです。

脅威は被害を起こす側の原因、脆弱性はその原因に付け込まれる守る側の弱みで、同じ事故でも原因と弱みを分けて考えます。また、リスク管理の主体についても、組織全体を指揮するトップマネジメントと、個々のリスクの管理を任されたリスク所有者（リスクオーナー）は別の役割です。業務の手順や人、システムの不備など日常の業務活動から損失が出るリスクは、オペレーショナルリスクと呼ばれます。

4つの対応は、リスクの何を動かすかで分けます。起こりやすさや被害の大きさを下げるのが低減、損失の負担を契約で外部と分け合うのが共有（移転）、原因となる活動そのものをやめるのが回避、手を打たずに受け入れると決めるのが保有です。

対策後の発生確率は、対策前の確率に、防ぎきれずに残る割合を掛けて求めます。例えば、発生確率が $0.5$ の事象に防止確率 $0.6$ の対策をすると、$0.5 \times (1 - 0.6) = 0.2$ になります。二つの事象のどちらかが起きれば被害が出るときは、どちらも起きない確率を $1$ から引いて求めます。対策を比べるときは、選択肢ごとに対策後の確率を出してから比べます。

4. 間違えやすいところ

JIS Q 27000の用語の問題では、対になる用語の説明文を入れ替えた誤答肢が複数の問題にありました。脅威の説明として資産や管理策の弱点を述べる誤答肢がその例で、これは脆弱性の側の説明です。

リスクアセスメントの構成プロセスを問う問題では、アセスメントの後に実施する「リスク対応」や「リスク受容」をアセスメントの構成要素に含めてしまう誤答肢が、複数の問題にありました。対応や受容は、評価の結果を受けてから決める、アセスメントの外にある作業です。

リスク分析の記述として「リスクが受容可能かどうかを決定する必要がある」とする誤答肢がありました。受け入れるかどうかを決めるのは、分析の次の評価の段階です。

リスク特定で考えておく事項として「事象の起こりやすさ及び結果」を挙げる誤答肢もありました。起こりやすさと結果を扱うのは、特定の次の分析の段階です。

4つの対応を、決まった順に進める実施手順として説明する誤答肢がありました。4つは状況に合わせて選ぶ対応の種類で、順番に一通り行うものではありません。